Problemet du ikke visste du hadde
Hvis selskapet ditt sender fakturaer, bestillinger, følgesedler eller ethvert dokument med kundedata via en konvensjonell meldingsapp, passerer de dataene gjennom servere som sannsynligvis ikke er i Europa. Eller hvis de er det, tilhører de et selskap underlagt utenlandsk lovgivning. GDPR har noe å si om det.
Den europeiske personvernforordningen krever å vite hvor dataene dine befinner seg, hvem som har tilgang til dem og under hvilken jurisdiksjon. Når du bruker en meldingsapp med sentral server, passerer dokumentene dine gjennom en infrastruktur du ikke kontrollerer. Dine kunders data blir liggende lagret — om enn midlertidig — på maskiner som tilhører et annet selskap, i et annet land, under andre lover.
Hva som endres når det ikke er noen server
Ved punkt-til-punkt-kommunikasjon går dataene direkte fra avsenderens enhet til mottakerens enhet. De lagres ikke på noen server. Når direkte tilkobling ikke er mulig, passerer de kryptert gjennom speilet vårt, som verken lagrer eller kan lese dem. Dokumentet forlater datamaskinen din i Lugo og ankommer klientens datamaskin i Barcelona, Berlin eller Lisboa.
Dette er viktig for GDPR. Kontodataene vi lagrer, befinner seg på servere i Tyskland, i Den europeiske union. Meldingene dine lagrer vi ikke på noen server.
Hvem dette betyr noe for
Hvis du er advokat og sender en kontrakt til en klient via meldinger, passerer dataene i den kontrakten gjennom en server. Hvis du er skatterådgiver og deler en skattemelding, passerer de dataene gjennom en server. Hvis du er lege og sender en rapport til en pasient, passerer helsedataene gjennom en server. I alle disse tilfellene delegerer du oppbevaringen av konfidensiell informasjon til et selskap du ikke har valgt og som du ikke kontrollerer.
Du gjør det ikke i dårlig mening. Verktøyet du bruker gir deg rett og slett ikke noe annet valg. For at dine profesjonelle meldinger ikke skal lagres på noen server, må kommunikasjonen gå direkte fra din skjerm til mottakerens.
Automatisk overholdelse
Med en P2P-kommunikasjon trenger du ikke revidere hvor meldingstjenestens servere befinner seg. Du trenger ikke verifisere om den overholder Privacy Shield eller EUs standardkontraktsklausuler. Du trenger ikke legge til en klausul i din personvernerklæring som forklarer at dine data "kan bli behandlet utenfor EØS". Ingenting av det gjelder, fordi ingen tredjepart behandler dine data.
Overholdelse avhenger ikke av noens godvilje. Den avhenger ikke av en databehandleravtale med en leverandør. Den avhenger ikke av om et amerikansk selskap opprettholder sitt engasjement for europeisk lovgivning. Den avhenger av arkitekturen. Og arkitekturen er verifiserbar, inmutable og ombestemmer seg ikke.
Spørsmålet til din neste revisjon
Neste gang noen spør deg hvor kundenes data befinner seg, kan du svare: «Meldingene ligger på min enhet og på deres. De lagres ikke på noen server.»